代理 ID 与租户隔离

管理标识符映射

为 tenant_id、service_id 与内部个人引用的组合分配代理 ID，避免暴露内部 ID。不同服务使用独立代理 ID，减少跨服务关联。

tenant_id

从已验证客户端上下文获取的企业边界。

service_id

租户内的服务。不要在其他服务中重复使用其 ID。

proxy_id

不嵌入姓名或邮箱的随机外部标识符。

subject_ref

保险库内部的个人引用，不包含在业务系统响应中。

status / version

启用或停用状态，以及用于并发更新的版本。

签发、轮换与删除

确认已验证的租户与服务，检查映射，仅在需要时签发安全随机 ID，以唯一性约束和事务防止重复。拒绝停用引用，按留存政策删除映射。

并发签发

并发登记请求不得产生重复映射。

ID 轮换

撤销旧 ID，启用替代 ID，并迁移历史引用。

删除

区分代理 ID 撤销与数据删除，备份及审计记录需分别处理。

知道 ID 并不意味着获得访问权限

代理 ID 不是凭据。每次请求都需在服务器端验证租户、服务及记录权限。更改 ID 不得暴露其他租户的记录。

拒绝跨租户查询

已验证的 tenant_id 必须与映射中的 tenant_id 一致。

分离映射存储

业务数据库访问权限不应同时授予个人信息映射访问权限。

关联身份的权限

关联标识符需要比普通查询更严格的授权及审计记录。

DATA / INTEGRATION EXAMPLE

数据与集成示例

这些示例用于说明设计。字段名及值仅供演示，并非可执行的 API 参考。

{
  "operation": "Proxy ID issuance and lookup example",
  "request": {
    "service_id": "shop-a",
    "registration_ref": "reg_example_01"
  },
  "response": {
    "proxy_id": "nym_example_01",
    "status": "active"
  }
}

registration_ref 由保险库登记流程签发。这不是仅基于邮箱哈希的身份匹配或匿名化。

相关技术设计

为您的业务流程设计集成。

梳理留存数据、合作方及必要操作，寻找减少暴露的方法。